Ассоциация банков России предложила Минцифры сделать обязательной установку корневых сертификатов Национального удостоверяющего центра на пользовательские устройства. Об обращении 26 октября сообщило РБК. Минцифры подтвердило получение письма, но решения по инициативе ещё нет.
Банки предлагают автоматически устанавливать сертификаты при скачивании и обновлении приложений, включать их в заводские настройки новых устройств и подготовить инструменты для уже используемых компьютеров и смартфонов. Инициативу объясняют проблемами с доступом к российским сайтам после отзыва международных сертификатов у некоторых организаций.
Корневой сертификат определяет, каким удостоверяющим центрам операционная система или браузер доверяет при проверке защищённых соединений. Его установка потенциально расширяет возможности организации, управляющей удостоверяющим центром, выпускать сертификаты для различных доменов.
Эксперты предупреждают о риске подмены защищённых соединений и перехвата трафика при наличии дополнительных технических условий. Однако установка сертификата сама по себе не позволяет автоматически прочитать все сообщения пользователей. Для подобной атаки нужен контроль над соединением; отдельные приложения применяют дополнительную защиту.
Как установил The Insider на основе технической документации Apple и Google, обычное обновление банковского приложения не обеспечивает полное доверие новому корневому сертификату во всех программах на iPhone и Android. Реализация предложений потребовала бы дополнительных технических решений.